ISO 27001 ohne Berater: Was eine kleine Firma selbst schaffen kann

Inhalt in Kürze

• ISO 27001 ohne Berater geht. Die Norm schreibt keinen Berater vor, und die Zertifizierungsstelle darf beim Aufbau gar nicht beraten.
• Das Audit will 14 Arten von Unterlagen sehen, vom Geltungsbereich bis zu den Korrekturmaßnahmen. Wer sie kennt, weiß, wofür er Zeit braucht.
• Das interne Audit darf jemand aus der eigenen Firma machen, solange er nicht die eigene Arbeit prüft.
• Hilfe lohnt sich gezielt: bei der technischen Umsetzung und beim ersten internen Audit. Nicht für das ganze Projekt.

Ein Großkunde verlangt ein ISO-27001-Zertifikat. Das erste Angebot eines Beraters liegt auf dem Tisch, und die Geschäftsführung schluckt. Die Frage, die sich dann fast jede kleine Firma stellt: Geht das auch ohne? Die kurze Antwort lautet ja. Die lange Antwort steht hier.

ISO 27001 ohne Berater: Was die Norm wirklich verlangt

Die ISO/IEC 27001 beschreibt ein Managementsystem für Informationssicherheit. Sie sagt, was eine Firma festlegen, umsetzen, prüfen und belegen muss. Wer das tut, steht nirgends.

Zwei Regeln aus dem Umfeld der Norm sind für kleine Firmen wichtig:

• Die Zertifizierungsstelle berät nicht. Nach ISO/IEC 17021-1, Abschnitt 5.2.5, darf eine Zertifizierungsstelle keine Beratung zu Managementsystemen anbieten. Sie prüft, mehr nicht.
• Das interne Audit darf im Haus bleiben. ISO/IEC 27001, Abschnitt 9.2.2, verlangt objektive und unparteiische Auditoren. Üblich ausgelegt heißt das: Wer prüft, darf nicht die eigene Arbeit prüfen.

Der Berater ist also eine Möglichkeit, keine Pflicht. Entscheidend ist, dass jemand im Haus Zeit hat und weiß, was das Audit sehen will.

Der Weg zum Zertifikat in acht Schritten

Der Ablauf ist bei jeder Firma gleich. Unterschiedlich ist nur, wie viel schon da ist.

1. Geltungsbereich festlegen: Welche Standorte, Abteilungen und Dienste gehören dazu? Ein kleiner, sauber gezogener Bereich ist im ersten Durchgang leichter als die ganze Firma.
2. Risiken beurteilen: Was kann Ihren Informationen passieren, wie wahrscheinlich ist es, was wäre der Schaden? Die Methode legen Sie selbst fest und schreiben sie auf.
3. Anwendbarkeitserklärung schreiben: Für jede der 93 Maßnahmen aus Anhang A entscheiden Sie, ob sie für Sie gilt, und begründen es. Was die Maßnahmen bedeuten, erklärt unser Beitrag zu den 93 Maßnahmen aus Anhang A.
4. Maßnahmen umsetzen: Hier steckt die meiste Arbeit, und sie liegt meist bei der IT.
5. Intern prüfen: Das interne Audit zeigt, ob alles so läuft, wie es aufgeschrieben ist.
6. Von der Leitung bewerten lassen: Die Managementbewertung hält fest, wie die Geschäftsführung das System beurteilt und was sie beschließt.
7. Audit Stufe 1: Die Zertifizierungsstelle liest Ihre Unterlagen und prüft, ob Sie bereit für Stufe 2 sind.
8. Audit Stufe 2: Sie prüft vor Ort oder per Video, ob das System gelebt wird. Danach gibt es das Zertifikat für drei Jahre, mit einer Überwachung in jedem Jahr.

Diese Unterlagen will das Audit sehen

Die Norm verlangt an bestimmten Stellen „dokumentierte Information“. Das ist die Liste, an der sich jede Vorbereitung messen lassen muss:

Viel davon ist kürzer, als es klingt. Eine Leitlinie für eine Firma mit 30 Leuten passt auf zwei Seiten. Wichtig ist, dass sie gilt und dass die Belege dazu passen.

Was Sie selbst schaffen und wo Hilfe sinnvoll ist

Ehrlich gesagt: Ohne Berater heißt nicht ohne Arbeit. Es heißt, dass Sie die Arbeit selbst steuern. Diese Teile schafft eine kleine Firma in der Regel allein:

• Geltungsbereich und Ziele. Das kennt niemand besser als die Geschäftsführung.
• Risikobeurteilung. Mit einer einfachen Methode und ehrlichen Antworten aus den Abteilungen.
• Anwendbarkeitserklärung. Fleißarbeit, aber mit klarer Struktur.
• Leitlinie und Managementbewertung. Kurz, konkret, mit Datum und Unterschrift.
• Belege sammeln. Schulungsnachweise, Protokolle, Verträge mit Dienstleistern.

Hilfe lohnt sich an zwei Stellen. Erstens bei der technischen Umsetzung, wenn Sie keine eigene IT haben. Zweitens beim ersten internen Audit: Wer noch nie auditiert hat, übersieht leicht, was die Zertifizierungsstelle später findet. Dafür reicht oft ein externer Auditor für ein, zwei Tage. Ein Berater für das ganze Projekt ist das nicht.

Einen Überblick über den Aufbau eines Managementsystems gibt unser Leitfaden für Geschäftsführer. Was die Norm im Einzelnen fordert, steht in ISO 27001 Anforderungen für KMU.

Aus der Praxis

Fünf Tage vor der Rezertifizierung kam die E-Mail: Können Sie uns helfen? Zum Glück lag das Wochenende dazwischen. Der Auditor war am Ende begeistert. Mit einem sauberen internen Audit wäre die Panik gar nicht erst entstanden.

Nils OehmichenDatenschutzberater bei frag.hugo

Das ist der typische Fehler: Die Unterlagen entstehen kurz vor dem Audit, nicht im Alltag. Wer jeden Schritt sofort ablegt, hat am Ende keine Panikwoche.

Die Zertifizierungsstelle finden

Zertifizieren darf nur eine akkreditierte Stelle. Welche das sind, zeigt die Suche der Deutschen Akkreditierungsstelle (DAkkS). Suchen Sie dort nach „27001“ und achten Sie darauf, dass die Akkreditierung Ihre Branche abdeckt.

Holen Sie zwei bis drei Angebote ein. Die Stellen brauchen dafür Ihren Geltungsbereich, die Zahl der Beschäftigten und die Standorte. Die Auditzeit berechnen sie nach einer eigenen Norm (ISO/IEC 27006-1), deshalb lassen sich die Angebote gut vergleichen.

Wenn Ihr Auftraggeber gar nicht auf ISO 27001 besteht, gibt es kleinere Wege. Welche das sind, steht in unserem Vergleich VdS 10000 oder ISO 27001?.

So führt Hugo ISMS durch die Schritte

Genau für diesen Weg haben wir den Fahrplan zur ISO 27001 in Hugo ISMS gebaut.

• Zwölf Schritte, je mit dem, was noch fehlt. Der Fahrplan zeigt, was bis zum Audit fehlt, und nennt keinen Prozentwert.
• Anwendbarkeitserklärung mit allen 93 Maßnahmen, Entscheidung und Begründung je Maßnahme, als PDF.
• Managementbewertung, die ihre Eingaben aus Ihren Daten sammelt und beim Abschluss eingefroren wird.
• Nachweismappe für die Zertifizierungsstelle und ein Nur-Lese-Link, der abläuft und sich widerrufen lässt.

Die Software führt, die Entscheidungen treffen Sie. Das Zertifikat vergibt eine unabhängige Zertifizierungsstelle. Wie das in der App aussieht, zeigt der Abschnitt Ohne Berater.

Wer erst wissen will, wo die eigene Firma steht, beginnt mit dem kostenlosen IT-Sicherheits-Check: 30 Fragen, die Antworten bleiben in Ihrem Browser.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der Leitfaden für den deutschen Mittelstand“ ausführlich behandelt. Jetzt herunterladen →

Ihr nächster Schritt

Häufige Fragen (FAQ)

Braucht man für die ISO 27001 einen Berater?

Nein. Die Norm ISO/IEC 27001 schreibt keinen Berater vor. Sie verlangt ein Managementsystem mit bestimmten Unterlagen, einem internen Audit und einer Bewertung durch die Leitung. Wer das selbst aufbaut, kann sich genauso zertifizieren lassen.

Darf die Zertifizierungsstelle beim Aufbau helfen?

Nein. Nach ISO/IEC 17021-1 darf eine Zertifizierungsstelle keine Beratung zu Managementsystemen anbieten. Sie prüft nur. Für Fragen zum Aufbau brauchen Sie also eigene Leute, einen Berater oder eine Software, die Sie führt.

Darf jemand aus der eigenen Firma das interne Audit machen?

Ja. ISO/IEC 27001 verlangt in Abschnitt 9.2.2, dass die Auditoren objektiv und unparteiisch prüfen. Üblich ausgelegt heißt das: Niemand prüft seine eigene Arbeit. In einer kleinen Firma prüft deshalb oft eine Person aus einem anderen Bereich, oder ein externer Auditor übernimmt nur diesen Teil.

Wie lange gilt ein ISO-27001-Zertifikat?

Drei Jahre. In jedem Jahr dazwischen prüft die Zertifizierungsstelle in einem Überwachungsaudit, ob das Managementsystem weiter läuft. Nach drei Jahren folgt die Rezertifizierung.

Wo finde ich eine Zertifizierungsstelle?

In der Suche der Deutschen Akkreditierungsstelle (DAkkS). Suchen Sie nach „27001“ und achten Sie darauf, dass die Akkreditierung Ihre Branche abdeckt. Holen Sie zwei bis drei Angebote ein.